Meerkat

Meerkat es una colección de módulos de PowerShell diseñados para la recolección de artefactos y el reconocimiento de endpoints basados en Windows sin necesidad de un agente previamente desplegado. Los casos de uso incluyen el triaje de respuesta a incidentes, la caza de amenazas, la monitorización de líneas base, comparaciones de instantáneas, y más.

Artefactos

• Ingesta usando su SIEM de preferencia (¡Mire el Repositorio SIEM!)

Índice

• Inicio Rápido
• Uso
• Análisis
• Solución de Problemas
• Capturas de Pantalla
• Proyectos Similares

Inicio Rápido

Requisitos

• Requiere PowerShell 5.0 o superior en el dispositivo "de escaneo".
• Requiere PowerShell 3.0 o superior en los sistemas de destino. Puede hacerlo retrocompatible hasta PowerShell 2.0 reemplazando las instancias de "Get-CIMinstance" por "Get-WMIObject".
• Requiere acceso WinRM.

Instalar con Git

En una consola de Comandos o PowerShell, escriba lo siguiente...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

Para actualizar...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

Instalar con PowerShell

Copie/pegue esto en una consola PowerShell

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

Para actualizar, simplemente ejecute el mismo bloque de comandos nuevamente.

Las funciones también se pueden usar abriendo el archivo .psm1 y copiando/pegando todo su contenido en una consola PowerShell.

Ejecutar Meerkat

Este comando generará los resultados en C:\Users\SuNombre\Meerkat\

Invoke-Meerkat

NOTA: Los siguientes módulos no devolverán resultados si no se ejecutan con privilegios administrativos

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

Análisis

Las metodologías y técnicas de análisis se proporcionan en las páginas Wiki.

Solución de Problemas

Instalación de un Módulo de PowerShell

Si su sistema no carga automáticamente los módulos en su perfil, es posible que necesite importar el módulo manualmente.

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

Se recomienda seguir el siguiente enfoque para ayudar a localizar dónde reside realmente el problema.

PRUEBA 1 – ¿FUNCIONA MEERKAT LOCALMENTE?

• Pruebe Meerkat contra el sistema local
  • Invoke-Meerkat

PRUEBA 2 – ¿FUNCIONA EL ESCANEO REMOTO?

Nota: Realice esta prueba con una cuenta que tenga derechos de administrador local en el sistema de destino.

• Pruebe Meerkat contra un sistema Windows remoto
  • Invoke-Meerkat -Computer RemoteName

PRUEBA 3 – ¿PUEDE CREAR LA TAREA PROGRAMADA Y LA MSA?

• Elimine cualquier Tarea Programada existente relacionada con Meerkat
• Elimine cualquier MSA relacionada con Meerkat
• Configure el archivo Schedule-Meerkat.ps1, luego ejecútelo.

PRUEBA 4 – ¿FUNCIONA MEERKAT-TASK.PS1?

Nota: Realice esta prueba con una cuenta que tenga derechos de administrador local en el sistema de destino.

• Configure el archivo Meerkat-Task.ps1 con # OPCIÓN 1 (host local)
• Ejecute el script manualmente.

PRUEBA 5 – ¿FUNCIONAN LA TAREA PROGRAMADA Y LA MSA?

• Ejecute el script Meerkat-Task.ps1 a través de Tareas Programadas.

Si falla:

• Asegúrese de que WinRM esté habilitado en el host remoto
• Asegúrese de que la MSA tenga derechos de administrador local en el host remoto

PRUEBA 6 – ¿FUNCIONA MEERKAT-TASK.PS1 DE FORMA REMOTA?

• Configure el archivo Meerkat-Daily-Task.ps1 con # OPCIÓN 3 (host remoto, Diario)
  • Especifique un host remoto en hosts.txt
  • Ejecute el script manualmente con una cuenta que tenga administrador local en el sistema remoto.

PRUEBA 7 – ¿TIENE LA MSA LOS PERMISOS ADECUADOS EN LOS HOSTS REMOTOS?

• Configure el archivo Meerkat-Task.ps1 con # OPCIÓN 3 (host remoto, Diario)
  • Especifique un host remoto en hosts.txt
  • Ejecute el script Meerkat-Task.ps1 a través de Tareas Programadas.

PRUEBA 8 – ¿FUNCIONA TODO AHORA?

• Configure el archivo Meerkat-Task.ps1 con # OPCIÓN 2 (escaneo de dominio completamente automatizado)
  • Ejecute el script manualmente con una cuenta que tenga administrador local en el sistema remoto.
  • Ejecute el script Meerkat-Task.ps1 a través de Tareas Programadas.

Agregar un Nuevo Módulo

• Cree el nuevo archivo .psm1, preferiblemente copiando un módulo existente con lógica suficientemente similar y usándolo como punto de partida.
  • Actualice el nombre del módulo
  • Usando buscar y reemplazar, reemplace todas las instancias del nombre de la plantilla
  • Actualice las secciones Synopsis, Description, Parameters, Examples y Notes
  • Reemplace la lógica process{} con la nueva lógica. Asegúrese de que devuelva un arreglo de objetos PowerShell coincidentes.
  • Guarde el módulo con un nombre apropiado.
• Agregue el nuevo nombre del módulo a Meerkat.psd1. Esto se puede hacer manualmente o ejecutando /Utilities/Generate-ModuleManifest.ps1
• Agregue el nuevo módulo a la tabla en este README.md
  • Agréguelo a la tabla de Artefactos.
• Agregue el nuevo módulo a Invoke-Meerkat.psm1
  • Agréguelo al Parámetro m/mod/modules, incluyendo tanto ValidateSet como el arreglo $Modules en sí.
  • En begin{}, agréguelo a $ModuleCommandArray
  • En begin{}, agréguelo al bloque de código if ($All) {}
  • Si el módulo toma más de unos segundos, agréguelo también al bloque de código if ($Quick) {. Esto evita que se ejecute cuando el usuario invoca -Fast

Capturas de Pantalla

Salida del comando "Invoke-Meerkat"

Archivos de Salida

Proyectos Similares

• https://github.com/travisfoley/dfirtriage
• https://github.com/Invoke-IR/PowerForensics
• https://github.com/PowerShellMafia/CimSweep
• https://www.crowdstrike.com/resources/community-tools/crowdresponse/
• https://github.com/gfoss/PSRecon/
• https://github.com/n3l5/irCRpull
• https://github.com/davehull/Kansa/
• https://github.com/WiredPulse/PoSh-R2
• https://github.com/google/grr
• https://github.com/diogo-fernan/ir-rescue
• https://github.com/SekoiaLab/Fastir_Collector
• https://github.com/AlmCo/Panorama
• https://github.com/certsocietegenerale/FIR
• https://github.com/securycore/Get-Baseline
• https://github.com/Infocyte/PSHunt
• https://github.com/giMini/NOAH
• https://github.com/A-mIn3/WINspect
• https://learn.duffandphelps.com/kape
• https://www.brimorlabs.com/tools/

¿Qué hace destacar a Meerkat?

• Ligero. ¡Cabe en un disquete!
• Muy poca huella/impacto en los objetivos.
• Aprovecha Powershell y WMI/CIM.
• El estilo de codificación fomenta la revisión adecuada del código, el aprendizaje y el "préstamo".
• Sin DLLs ni componentes compilados.
• Salida estandarizada: por defecto .csv, y puede soportar fácilmente json, xml, etc.